geek, Segurança e Privacidade

 

http://telegra.ph/Novos-processadores-qu%C3%A2nticos-podem-acabar-com-o-Bitcoin-11-16

Não só o bitcoin, mas toda segurança baseada em criptografia atual, incluindo o protocolo HTTPS e aqueles por trás de aplicativos de mensagens como o WhatsApp e o Telegram…. Se algum dia os computadores quânticos plenamente funcionais forem realidade, o único jeito seguro de mandar suas nudes será tirando-as com máquina Polaroid e entregando em pessoa.

No entanto, o potencial inimaginável do que a ciência poderia fazer com uma máquina de processamento de informação tão poderosa é muito mais importante. Afinal, se por um lado é possível os algoritmos atuais serem quebrados, é possível também criarem um novo algoritmo de criptografia que use a própria computação quântica.

 

Anúncios
Link
geek, Segurança e Privacidade

O Mito das Regras de Senhas Seguras

Neste atribulado ano de 2017, finalmente caiu um mito de quase 15 anos de existência, que fez todos nós perdermos muito, muito tempo, e tornou nossos dados pessoais menos seguros. As regras de como criar uma senha segura, que você sabe e memorizou como um mantra – de fazê-las mais complicadas e sem sentido possível, e trocá-las com frequência – estão erradas.

Quem disse? O próprio sujeito que as inventou.

Antes de sair a notícia, eu nem sabia que o guia de regras tinha um autor conhecido. Mas tem. Bill Burr, que em 2003 trabalhava para a agência americana NIST, Instituto Nacional de Padrões e Tecnologia (similar à brasileira ABNT), elaborou um documento – NIST Special Publication 800-63 Appendix A – em que recomendava fazer senhas contendo números e caracteres especiais, e trocá-las com frequência. E o meme se alastrou rapidamente pelo mundo todo, adotado como regra em diversos sistemas e organizações. Mas desde então, várias evidências surgiram de que fazer a senha parecida com um palavrão de histórias em quadrinhos não a protege de ser descoberta. E falando em quadrinhos, o mito foi desafiado publicamente já em 2011, quando o quadrinista Randall Munroe demonstrou matematicamente que uma senha com uma simples série de 4 palavras comuns da língua inglesa, “correct horse battery staple”, com 25 caracteres no total (sem espaços) demoraria 550 anos para ser descoberta pelo método de força bruta (em que um computador tenta todas as combinações possíveis até achar a correta) enquanto uma senha curta que segue o dogma dos caracteres especiais, “Tr0ub4dor&3”, demoraria apenas 3 dias para ser desvendada. Especialistas em segurança deram crédito ao cálculo de Munroe. Neste caso, os números não mentem, comprimento é mais importante que complexidade, muito mais.

Para quem conhece o conceito de progressão geométrica (ilustrado pela famosa lenda dos grãos de arroz no tabuleiro de xadrez) não é um mistério as senhas longas serem mais difícies. Mistério é como durou tanto tempo o mito tão fácil de desprovar; só neste ano de 2017 Bill Burr, já aposentado, e profundamente arrependido de sua criação, confessou ao Wall Street Journal: Elaborou o fatídico documento de 2003 na pressa, sem se basear em dados confiáveis.

Senhas são uma merda. Um sistema de verificação de identidade primitivo, ainda usado porque infelizmente leitores de impressão digital e outras ferramentas de biometria ainda não se popularizaram. Todo mundo tem um monte delas, do Google e do Facebook, do wi-fi, do sistema do escritório… É humanamente impossível lembrar todas, principalmente se forem ao mesmo tempo longas e complicadas. O que todo mundo acaba fazendo é anotar num papel ou criar senhas curtas, com a falsa segurança psicológica dos caracteres especiais em combinações sem sentido, quase sempre seguindo o famigerado padrão leet. Bom para os hackers, que se serviram da abundância de combinações curtas e manjadas como “P@55w0rd” e “Football123”. E atualmente, pelas novas diretrizes do próprio NIST, não só caiu a regra de caracteres especiais, como não se recomenda trocar de senha a não ser que haja um motivo para crer que já foi comprometida.

É frustrante lembrar quanto tempo já perdemos com senhas, quantas vezes não as esquecemos, quando na verdade quatro palavras escolhidas aleatoriamente do dicionário, ou uma frase longa, dariam uma senha muito forte e fácil de lembrar. Meu conselho é usar um gerenciador de senhas como o LastPass. Extremamente seguro, e você só precisará memorizar uma senha. Além disso, também é imprescindível ativar segurança em duas etapas para todos os serviços que a disponibilizam, e praticamente todos os serviços da web(incluindo o WordPress) oferecem esta proteção, desta forma, mesmo a senha sendo comprometida, o invasor não conseguirá fazer nada.

https://hypescience.com/o-cara-que-inventou-as-regras-irritantes-para-senhas-pede-desculpas-por-te-fazer-perder-tempo/

https://www.wsj.com/articles/the-man-who-wrote-those-password-rules-has-a-new-tip-n3v-r-m1-d-1502124118

https://www.theverge.com/2017/8/7/16107966/password-tips-bill-burr-regrets-advice-nits-cybersecurity

 

Padrão
Aplicativos, Empresas, geek, internet, Segurança e Privacidade

Aviso aos Playstationzeiros: Ative verificação em duas etapas

psn

Três coisas que acontecem todo ano ou quase:

  • Greve dos correios no Brasil
  • Greve dos bancários no Brasil
  • PSN hackeada

E já chegou o hack do ano…Cortesia do mesmo pessoal que vazou os episódios de Game of Thrones. E você achando eles os caras mais legais do universo….

http://adrenaline.uol.com.br/2017/08/21/51399/playstation-e-hackeada-pelo-mesmo-grupo-que-atacou-hbo/

Se você quiser proteger a sua conta, isso não custa nada: Ative a verificação em duas etapas na sua conta da PSN. Como funciona? Simples, registre o seu número de celular na sua conta PSN e ative a verificação em duas etapas, e toda vez que você (ou alguém se passando por você) tentar entrar pela primeira vez num dispositivo com a conta, além da senha padrão, terá de informar uma senha descartável enviada para o seu celular por SMS. Infelizmente, a PSN não é compatível com Google Authenticator e outros aplicativos similares, só SMS, mas já é muito melhor que nada e fornece segurança caso a conta seja roubada por qualquer motivo, sem ter o seu celular, não dá pra acessar. Veja abaixo o link para configurar:

https://www.playstation.com/pt-br/account-security/2-step-verification/


Ver também:

Segurança em Celular e Autenticação em Duas Etapas

Padrão
Aplicativos, geek, internet, Segurança e Privacidade

Criptografia Pode ser Inútil

9sfb_breach_web

“Três pessoas só podem guardar um segredo se duas delas estiverem mortas”

Quem escreve o título deste post é o mesmo c0anomalous que fez este e vários outros sobre o assunto criptografia, pelo qual sou assumidamente fascinado, a matemática e a computação a serviço de guardar segredos. Mas a verdade vale mais que o meu fascínio. A verdade é que, em situações práticas, em especial de comunicação, nem o mais avançado algoritmo criptográfico pode salvar você de ter seu sigilo violado, e suas informações repassadas a terceiros. Ponderei sobre qual título seria mais adequado, “Criptografia é inútil” definitivamente não. “Criptografia: Quase Inútil”, impreciso demais. Realmente, ela pode ser inútil, e temo que eu e outros entusiastas às vezes a exaltemos demais.

Continuar lendo

Padrão
Aplicativos, geek

Quer Chamadas de Voz Pelo Telegram? Pergunte-me como

telegram voice call

Ou melhor, não precisa perguntar, eu já respondo:

O Telegram está liberando chamadas de voz para o Brasil. Mas para poder fazer chamadas para os seus amigos, é preciso alguém ligar para você primeiro. Uma espécie de sistema de convites.

Estou me sentindo caridoso hoje. Se você ainda não tem o recurso liberado no Telegram, entre em contato comigo que eu te ligo.

https://t.me/c0anomalous

Já tenho uma boa ação para incluir na minha carta ao Papai Noel no fim do ano.

Adendo: Só para constar, eu não estou fazendo uma piada de primeiro de abril, os caras do Telegram estão mesmo liberando a chamada de voz nesse sistema.

Padrão
Aplicativos, geek, internet, Segurança e Privacidade

O Que esses tais de “Year Zero” e “Vault 7” do Wikileaks significam?

101-wikileaks-revealed-cnn-640x360

Original: Telegram, em http://telegra.ph/Wikileaks-Vault7-NEWS

Tradução: c0anomalous

O Wikileaks divulgou uma nova coletânea de documentos que eles chamaram “Year Zero” (“Ano Zero”). De acordo com estes documentos, a CIA criou “sua própria NSA” com “ainda menos responsabilidade e transparência”. O recém descoberto arsenal hacker da agência inclui técnicas que alegadamente permitem à CIA burlar a criptografia de aplicativos de mensagens como WhatsApp ou Signal, hackeando os smartphones das pessoas e coletando tráfego de mensagens e áudio antes da criptografia ser aplicada.

Isto não é um problema de aplicativo. É relevante ao nível de dispositivos e sistemas operacionais como iOS e Android. Por esta razão, nomear qualquer aplicativo em particular neste contexto é enganoso.

Como assim?

Para colocar “Year Zero” em termos familiares, imagine um castelo numa montanha. O castelo é um aplicativo de mensagens seguro. O dispositivo e seu sistema operacional são a montanha. Seu castelo pode ser forte, mas se a montanha abaixo for um vulcão ativo, há pouco que seus engenheiros possam fazer.

Então, no caso do “Year Zero”, não importa realmente qual aplicativo de mensagens você use. Aplicativo nenhum pode impedir seu teclado de saber quais teclas você pressiona. Nenhum aplicativo pode esconder o que aparece na tela do seu sistema. E nada disso é um problema do aplicativo.

Então quem pode consertar isto?

Agora depende dos fabricantes do dispositivo e do sistema operacional, como Apple e Google, ou Samsung, para consertar seus vulcões e torna-los montanhas novamente.

Felizmente, no caso do “Year Zero”, a montanha não é exatamente um vulcão. É mais como uma grande montanha que está repleta de túneis e passagens secretas. As ferramentas do “Vault 7” [o pacote de documentos vazados completo, do qual Year Zero é a primeira parte] são como um mapa destes túneis. Agora que os fabricantes dos sistemas operacionais e dispositivos, como Apple e Google, vão pegar este mapa, eles podem começar a preencher os buracos e barrar as passagens. Isto requererá muitas horas de trabalho e muitas atualizações de segurança, mas eventualmente eles devem conseguir cuidar da maioria dos problemas.

Quem é afetado?

A boa notícia é que por hora tudo isso é irrelevante para a maioria dos usuários do Telegram. Se a CIA não estiver atrás de você, você não deve começar a se preocupar ainda. E se ela estiver, não importa quais aplicativos de mensagens você use, enquanto seu dispositivo estiver rodando iOS ou Android.

Os documentos publicados não incluem detalhes de como recriar e usar as ciberarmas da CIA. Wikileaks disse que eles iriam reter tais publicações até que se torne claro como estas armas devam ser “analisadas, desarmadas e publicadas”.

Isto significa que o seu vizinho provavelmente não terá acesso às ferramentas recém descobertas antes delas serem neutralizadas.

O que eu posso fazer?

Há algumas precauções gerais que você pode seguir para aumentar a segurança de seu dispositivo:

  • Não use dispositivos com root ou jailbreak até que você esteja 400% certo de que sabe o que está fazendo.
  • Nunca instale aplicativos de fontes desconhecidas ou não confiáveis.
  • Mantenha seu dispositivo atualizado e sempre instale as atualizações de segurança que ele oferece.
  • Pegue um fabricante que ofereça atualizações de longo prazo para seus produtos.
  • Lembre-se que dispositivos que não recebem mais suporte têm um risco aumentado de estarem vulneráveis.

Estas medidas o protegerão de exploits “Year Zero” apenas quando fabricantes de sistemas operacionais e dispositivos implementarem os consertos relevantes, mas seguir estas dicas desde já pode te deixar muito mais seguro contra várias das ameaças conhecidas às quais você estaria exposto.

Sumarizando

“Year Zero” não é um problema de aplicativo. Ele se aplica a dispositivos e sistemas operacionais e requererá atualizações de segurança de seus respectivos fabricantes para mitigar as ameaças. Mencionar qualquer aplicativo em particular neste contexto é enganoso.

Wikileaks alega que a CIA tem tido um mapa dos túneis e passagens secretas na sua montanha há vários anos. A CIA poderia usá-los para olhar dentro de seu castelo e ler dados da tela do seu celular, antes que qualquer aplicativo tenha a chance de criptografá-los. É possível que alguns dos túneis dos mapas secretos tenham sido ou sejam descobertos por atores além da CIA.

A notícia mais importante é que após este vazamento, os fabricantes de dispositivos e sistemas operacionais finalmente terão acesso a estes mapas também. E então Samsung, Apple, Google e outros poderão começar a trabalhar para fazer suas montanhas inacessíveis à CIA e qualquer um que tente seguir em seu encalço.

Padrão
geek, Segurança e Privacidade

Novo Vazamento do WikiLeaks: Fiquem Ligados

1000px-wikileaks_logo-svg_

Novo vazamento de dados, obtidos de um funcionário ou ex-funcionário da CIA (não da NSA desta vez) revelam toda a gama de ferramentas de que a agência dispunha, algumas compradas de empresas privadas, para hackear dispositivos móveis. Este vazamento, um pacote de dados chamado Vault 7, que Assange promete ser maior que os de Snowden em 2013, revela que o governo americano esteve trabalhando em meios de poder espionar comunicações, inclusive de serviços de mensagem como Telegram e WhatsApp, sem precisar quebrar a criptografia destes aplicativos, mas explorando fragilidades dos sistemas operacionais iOS e Android. Ah, e você por acaso tem uma Smart TV Samsung? Pois é…

O primeiro lote de documentos do Vault 7, chamado Year Zero, você encontra no link abaixo:

https://wikileaks.org/ciav7p1/

https://motherboard.vice.com/pt_br/article/wikileaks-acaba-de-vazar-informacoes-das-supostas-ferramentas-de-hacking-da-cia

https://www.washingtonpost.com/world/national-security/wikileaks-says-it-has-obtained-trove-of-cia-hacking-tools/2017/03/07/c8c50c5c-0345-11e7-b1e9-a05d3c21f7cf_story.html

Padrão